Политика за поверителност

Данни за регистрация и удостоверяване:

• Имейл адрес (задължителен за създаване на профил)
• Име (опционално, ако го попълните)
• Идентификатор на профила при нашия доставчик на удостоверяване (Clerk user ID)
• Време и метадата на вход/изход (IP адрес, браузър, устройство), за сигурност на профила
• Отговорът на въпроса „Как научихте за нас?“ при регистрация (по избор), заедно с подробностите, ако сте написали такива
• Записът, че сте приели Общите условия: коя тяхна версия, на какъв език и в кой момент

Данни за бизнес профил (доставчици на услуги):

• Име на бизнеса, описание, предлагани услуги
• ЕИК на фирмата (не се показва публично)
• Адрес, област, населено място
• Телефон и имейл за контакт
• Снимки и мултимедия, които качвате
• Работно време, ценова информация за обяви
• Заявката Ви за разговор, ако сте натиснали „Обадете ми се“: кога е подадена и какво сте искали да отключите, кога и колко пъти сме Ви звънели, как е завършил разговорът и кратка наша бележка за него
• Част от данните за тази проверка не идват от Вас: името на фирмата и на управителя ѝ четем по ЕИК в публичния Търговски регистър, а публичния телефон на бизнеса намираме на сайта му или в Google Maps
• Ако бизнес акаунтът дълго не се използва: от кога не е използван, кога сме изпратили всяко предупреждение, кога сме спрели и кога сме върнали достъпа, и дали сме отбелязали бизнеса като изключение от това правило

Данни от ваша дейност в CRM модула на сервиз (workshop workspace):

• Данни за ваши клиенти: име, телефон, имейл (ако сте ги въвели)
• Данни за превозни средства: регистрационен номер, марка, модел, VIN
• История на ремонти и обслужвания: дата, извършени работи, цена, сервизни бележки
• Важно: когато сервиз използва нашето CRM за своите клиенти, сервизът е администратор за тези данни, а ние сме обработващ от негово име.

Данни за ангажираност с публичния каталог:

• Типа на действието, което сте направили: разглеждане на профил, показване на телефон, кликване за навигация
• Анонимен идентификатор на сесията (случаен UUID, генериран в браузъра ви, не е свързан с никой потребителски профил в нашите системи)
• Тип устройство и браузър (user-agent) и точен момент на събитието
• Тези събития не съдържат имена, имейли, телефони или съобщения. Приложението няма форма за контактно запитване. Ако сервизът е включил онлайн записване на час, какво събира формата за записване е описано в раздела „Шофьори, които се записват онлайн“

Технически данни и логове:

• Маскиран IP адрес, тип браузър, операционна система, референт
• Идентификатори за сесия и защита от bot атаки (Cloudflare Turnstile предизвикателства при вход и при онлайн записване)
• Логове за грешки и производителност (stack traces, URL, user ID; само при възникване на грешка)

Комуникация с нас:

• Име, фирма и данни за контакт, които сте ни предоставили
• Съдържание на кореспонденцията между вас и нас: запитвания, поддръжка, обратна връзка
• Канал на комуникация и бележки за етапа на връзката
• Част от тези контакти не идват от вас: когато се свързваме със сервиз по наша инициатива, вземаме публично достъпните му данни за контакт (сайт, публичен профил, професионален указател) или ги получаваме от общ познат. В такъв случай източникът е този, а не вие. Имате същите права, включително да възразите (чл. 21) и да поискате заличаване

Записи за изпратените от нас съобщения:

• Имейл адресът, на който сме Ви писали, и дали съобщението е служебно или е от имейлите, които изпращаме само със съгласие
• Тема и съдържание, както са изпратени. Пазим копие като доказателство, че сме ви уведомили за промяна
• Момент на изпращане, а при уведомление за промяна в тази Политика и коя нейна версия е посочена
• При предупрежденията, преди да спрем достъпа на неизползван бизнес акаунт: какво е станало с всяко от тях (доставено, забавено, върнато или отбелязано като нежелано) и кога
• Вашата настройка за съгласие за имейлите от MotoManager с новости, съвети, предложения и партньорски програми (по подразбиране изключена, мълчанието не е съгласие). Тя важи само за тези имейли. Служебните съобщения, например промяна в тази Политика или важно известие по акаунта, се изпращат независимо от нея
• Запис за всяко даване и оттегляне на това съгласие: текстът, който сте видели (неговата версия), езикът, моментът и къде е станало (при регистрация, при следващото отваряне на приложението или в Настройки)
• Състояние на адреса. Ако съобщение се върне трайно или бъде отбелязано като нежелано, отбелязваме адреса като спрян и не изпращаме към него нищо повече, включително служебни съобщения. Това не е настройка, която избирате, а техническа последица

Изпълнение на договор (чл. 6(1)(б) GDPR):

• Създаване и управление на потребителски профил
• Записване коя версия на Общите условия сте приели при регистрация или при следващото отваряне на приложението
• Идентифициране на бизнеса, с който сключваме договор, по неговия ЕИК при регистрация или при следващото отваряне на приложението
• Предоставяне на бизнес услуги към доставчиците: публикуване на обяви, CRM workspace, управление на клиенти
• Обработка на комуникация и запитвания между посетители и доставчици
• Техническа поддръжка на услугата
• Предупреждаване на бизнес акаунт, който дълго не се използва, и спиране на достъпа му до приложението (вижте „Автоматизирано вземане на решения“)

Законово задължение (чл. 6(1)(в) GDPR):

• Съхранение на счетоводно-релевантни записи: 5 години по чл. 38 от Закона за счетоводството
• Гаранционни и отговорностни записи за ремонти: до 10 години по ЗЗД
• Отговор на правоохранителни или регулаторни искания с легитимно основание

Легитимен интерес (чл. 6(1)(е) GDPR):

• Защита на платформата от спам, злоупотреба, ботове и неоторизиран достъп
• Мониторинг на грешки и производителност за поддържане на стабилност на услугата
• Проследяване на измамни или абузивни потребителски действия
• Статистика на ангажираността с публичния каталог (разглеждане на профил, показване на телефон, кликване за навигация), по която подобряваме продукта, без индивидуална идентификация
• Рейт-лимит на действия като запитвания и регистрации
• Поддържане и развитие на бизнес отношения: контактите на сервизи и партньори, с които сме разговаряли, и самата кореспонденция с тях
• Гласовете и мненията, които ни изпращате през таблото за развитие на продукта, за да решим какво да разработим следващо. Гласът ви е свързан с профила ви, за да броим по един на функция и за да може да бъде оттеглен (сами, докато функцията се показва на таблото като планирана, и по заявка във всички останали случаи, вижте сроковете по-долу); виждаме го само ние, не другите потребители
• Отговорът на въпроса „Как научихте за нас?“ (по избор), за да знаем откъде научават за нас бизнесите, които се регистрират
• Проверка на бизнеса, преди да отключим допълнителните модули и публикуването: когато бизнесът сам поиска разговор, по ЕИК в Търговския регистър (име на фирмата и управител) и с обаждане на публичния му телефон, а ако няма такъв, на телефона от регистрацията; бизнес, с който вече работим, отбелязваме като проверен без обаждане

Съгласие (чл. 6(1)(а) GDPR):

• Аналитични бисквитки на трети страни (Google Analytics), само след изрично активиране през банера за бисквитки
• Имейли от MotoManager с новости, съвети, предложения и партньорски програми, свързани с работата Ви, ако сте избрали да ги получавате. Изпращаме ги само ние, а имейл адресът не се предава на партньорите
• Подаване от Ваше име на заявката за достъп до интеграцията с Inter Cars, ако сте ни упълномощили в „Снабдяване“: изпращаме на Inter Cars клиентския номер, името на фирмата, лицето за контакт, телефона и имейла, които сте видели в диалога. Можете да оттеглите съгласието, докато заявката не е подадена. Можете и сами да попълните формуляра на Inter Cars, без да минавате през нас

Clerk (удостоверяване и управление на сесии), САЩ:

• Цел: регистрация, вход, възстановяване на парола, управление на профили
• Данни: имейл, име, Clerk user ID, метадата за сесия
• Регион: САЩ
• Прехвърляния: EU-U.S. Data Privacy Framework (DPF) + Стандартни договорни клаузи (SCCs) като резервна мярка
• DPA: https://clerk.com/legal/dpa
• Публичен списък на подобработващи: https://clerk.com/legal/subprocessors

Convex (backend и база данни), ЕС регион:

• Цел: съхранение на данни на приложението, сървърна бизнес логика
• Данни: всички данни, които въвеждате в приложението (профили, клиенти, обяви, съобщения)
• Регион: ЕС (нашият deployment е в европейски регион; AWS и PlanetScale следват региона)
• Прехвърляния: корпоративните операции на Convex Inc. в САЩ (мониторинг, поддръжка) са покрити от SCCs Module Two
• DPA: https://www.convex.dev/legal/dpa
• Публичен списък на подобработващи: https://www.convex.dev/legal/subprocessors

Vercel (хостинг, CDN), глобално с EU default:

• Цел: хостинг на приложението и доставяне на статично съдържание
• Данни: HTTP заявки, маскиран IP, user-agent
• Регион: глобална edge мрежа; съхранение предимно в ЕС
• Прехвърляния: SCCs Module Two за трансфери към САЩ
• DPA: https://vercel.com/legal/dpa

Sentry (проследяване на грешки), Германия (EU):

• Цел: проследяване на грешки, мониторинг на производителност, агрегиране на логове
• Данни: stack traces, URL-и на заявки, user ID и имейл прикачени към грешки, метадата за производителност
• Регион: Германия (Франкфурт), ЕС регион; не се извършва трансфер извън ЕИП за основната обработка
• DPA: https://sentry.io/legal/dpa/

Cloudflare (защита от ботове чрез Turnstile), глобално:

• Цел: bot challenge на формите за вход и регистрация, интегриран през UI на Clerk, и на формуляра за онлайн записване на час
• Данни: краткотрайни токени за bot-detection; без трайна лична информация
• Проверката при онлайн записване минава през наш собствен акаунт, а тази при вход и регистрация през подизпълнителската верига на Clerk
• Прехвърляния: Cloudflare, Inc. е сертифициран по EU-U.S. Data Privacy Framework + Стандартни договорни клаузи (SCCs) като резервна мярка
• Покритие: директно споразумение с Cloudflare (https://www.cloudflare.com/cloudflare-customer-dpa/) за проверката при онлайн записване; DPA на Clerk (https://clerk.com/legal/dpa) за проверката при вход и регистрация
• До 15.10.2026 в същия акаунт се пазеха и криптираните резервни копия на базата данни; последните се изтриват автоматично до 23.10.2026

Google Analytics (аналитика след съгласие), САЩ:

• Цел: агрегиран анализ на посещаемост и потребителско поведение
• Данни: идентификатор на клиент (GA cookie), анонимизирани събития, маскиран IP
• Регион: САЩ
• Зарежда се САМО след изрично активиране през банера за бисквитки
• Прехвърляния: Google LLC е DPF-сертифициран + SCCs
• DPA: https://business.safety.google/adsprocessorterms/

Neon (управление на връзката с клиенти), ЕС регион:

• Цел: комуникация с клиенти и потенциални клиенти (запитвания, поддръжка, обратна връзка)
• Данни: име, фирма, данни за контакт, кореспонденция
• Регион: ЕС (AWS, Франкфурт)
• Прехвърляния: SCCs Модул Две и Модул Три за корпоративните операции в САЩ
• DPA: https://neon.com/dpa
• Публичен списък на подобработващи: https://neon.com/subprocessors

Amazon Web Services (изпращане на имейли и резервни копия), ЕС регион:

• Цел: доставка на служебни известия (промени в политиката/условията, важни съобщения по акаунта); транзакционни имейли, изпратени от името на сервиз (имейл за потвърждение на записан час, потвърждение и напомняне за записан час, покана за сезонна смяна на гуми при съхранение в сервиза); и, при съгласие, имейли от MotoManager с новости, съвети, предложения и партньорски програми; ежедневно криптирано резервно копие на базата данни
• Данни: имейл адрес, име (когато присъства в съобщението), тема и съдържание; при резервното копие всички данни в приложението, които се криптират, преди копието да бъде записано
• Регион: ЕС (AWS, Франкфурт)
• Прехвърляния: SCCs за корпоративните операции на AWS извън ЕИП
• DPA: https://aws.amazon.com/service-terms/ (интегриран в условията на AWS)

Google Maps Platform (подсказки за адрес и бутона за текущо място), САЩ:

• Кога: докато въвеждате адреса на сервиза (при регистрация и в профила) и ако натиснете бутона за текущо място
• Данни: въведеният текст на адреса; при бутона за текущо място, координатите на устройството; IP адресът и данните за браузъра, които носи всяка заявка
• Роля: самостоятелен администратор по Google Controller-Controller Data Protection Terms
• Прехвърляния: Google LLC е сертифициран по EU-U.S. Data Privacy Framework
• Политика на Google: https://policies.google.com/privacy

Inter Cars България (заявката за достъп до интеграцията, само ако сте ни упълномощили):

• Кога: когато подадем от Ваше име заявката Ви за достъп до интеграцията с Inter Cars
• Данни: клиентският номер, името на фирмата, лицето за контакт, телефонът и имейлът от диалога
• Роля: самостоятелен администратор, който обработва данните по своите условия

Данни за регистрация (имейл, име, Clerk user ID):

• До изтриване на профила от вас
• След изтриване: данните се премахват от нашите системи, освен описаното по-долу; Clerk запазва остатъчни записи до 30 дни според своята политика за изтриване

Отговорът на „Как научихте за нас?“ и записът за приемане на Общите условия:

• Изтриват се заедно с профила

Бизнес профил и обяви на доставчик:

• Докато профилът е активен
• При заявка за изтриване профилът се заличава веднага, без период за възстановяване. Премахваме личните данни в него (име, ЕИК, описание, телефон, лого и снимки, адрес, квартал и координати на обектите) и профилът спира да се показва публично
• Самият запис на сервиза остава без собственик и в редактиран вид, защото свързаните с него сервизни записи подлежат на законово задържане (виж точките по-долу). Той вече не съдържа лични данни за собственика
• Данните от интеграции с трети страни (например доставчик на части) и съхранените ключове за достъп се изтриват изцяло

Заявката за разговор и проверката на бизнеса:

• Докато профилът на бизнеса съществува
• Изтриват се заедно с профила, включително как е завършил разговорът и бележката ни за него

Клиентски данни в CRM на сервиз (име, телефон):

• До упражняване на правото на изтриване (чл. 17 GDPR) от сервиза/клиента; тогава данните се редактират на място в записа и се маркират с timestamp
• При затваряне на профила на сервиза: редактиране по същия начин
• Важно: ремонтните записи и данните за превозното средство се запазват отделно за целите на счетоводна и гаранционна отчетност (виж следващата точка)

Ремонтни записи и данни за превозни средства (регистрационен номер, извършени работи, цена):

• До 5 години от последното обслужване, задължително по чл. 38 от Закона за счетоводството (правно основание: чл. 6(1)(в) GDPR)
• След това записите се запазват за неопределен срок като автомобилна сервизна история на наш легитимен интерес по чл. 6(1)(е) GDPR (запазване на техническа история за текущи и бъдещи собственици на автомобила; вижте ADR 013 за документирания баланс-тест)
• Клиентската лична информация (име, телефон, имейл, бележки) е изтрита в момента на заявката за забравяне; оставащите полета (регистрационен номер, марка, извършени работи) се отнасят до автомобила, не до конкретно физическо лице

Файлове, качени за пренос на стара клиентска база:

• Използват се само за да прехвърлим данните в CRM на сервиза
• Изтриват се, щом прехвърлянето приключи или заявката бъде отменена, и във всички случаи до 30 дни от подаването ѝ

Резервни копия на базата данни:

• Пазят се 7 дни и след това се изтриват автоматично
• Дотогава в тях остават и данни, които вече сте изтрили в приложението

Събития за ангажираност с публичния каталог:

• Необработените събития (тип: разглеждане на профил, показване на телефон, клик за навигация; плюс timestamp и анонимен идентификатор на сесия) се задържат само за текущия календарен месец (по часови пояс Европа/София). На първи ден от следващия месец автоматичен процес (Convex cron) консолидира данните в месечни броячи на ниво сервиз и изтрива необработените записи.
• Месечните агрегирани броячи (сервиз + година + месец + брой събития по тип) се запазват безсрочно като лайф-тайм статистика на сервиза; те не съдържат идентификатори на сесия и не могат да бъдат асоциирани с конкретен посетител.
• Събитията не съдържат имена, имейли или съобщения. Данните от формата за онлайн записване на час и сроковете за тях са описани в раздела „Шофьори, които се записват онлайн“.

Логове за вход и сигурност (Clerk):

• 30–90 дни (по default политика на Clerk), необходимо за защита от измама и компрометиране на профили

Логове за грешки и производителност (Sentry):

• 90 дни (по default политика на Sentry), необходимо за диагностика и поддръжка

Статистика на посещенията (Vercel Web Analytics):

• Вече не се събира; прегледите, събрани преди премахването, Vercel пази 12 месеца (срокът, който Vercel гарантира за нашия план; Vercel може да ги пази и по-дълго)

Google Analytics (след съгласие):

• Данните за всяко събитие: 2 месеца от събитието; данните за посетителя: 14 месеца от последната му активност, защото всяко ново посещение започва срока отначало (настройките на нашия ресурс в GA4); обобщените отчети не се изтриват с тези срокове
• При оттегляне на съгласието чрез банера събирането спира веднага и бисквитките на Google Analytics се изтриват от устройството Ви; събраното дотогава не се изтрива от Google с оттеглянето

Комуникация за поддръжка (имейл):

• Обхваща кореспонденцията по заявки за поддръжка (въпроси, проблеми, оплаквания относно услугата), независимо дали имате профил в платформата
• До 2 години от приключване на искането, за проследяване на повторни проблеми

Записи за изпратени служебни съобщения:

• Пазим какво сме ви изпратили и кога, като доказателство, че сме ви уведомили за промяна (напр. в тази Политика)
• Срок: докато може да възникне въпрос дали сте били уведомени; ориентировъчно давностният срок за претенции по съответното задължение
• Със същия срок пазим и предупрежденията, изпратени преди спиране на достъпа на неизползван бизнес акаунт, като доказателство, че са изпратени
• Настройките ви за имейл (включително отписване) се изтриват заедно с профила ви
• Ако писмо до имейл адрес е върнато като недоставено или наше писмо е маркирано като спам, може да запазим адреса с причината и датата като запис, че не бива да пишем на него, без краен срок, дори след изтриването на профила

Гласове и мнения за развитието на продукта:

• Обхваща гласуването за планирани функции и свободния текст, който ни пишете от таблото
• Докато профилът ви е активен, без допълнителен срок: докато ползвате платформата, мнението ви е актуален сигнал за това какво да строим
• Изтриват се напълно заедно с профила ви, без да остава анонимна следа в броячите
• Докато функцията се показва на таблото като „планирана", можете да оттеглите гласа си сами, като натиснете отново бутона за гласуване. Във всички останали случаи оттеглянето минава през заявка до нас, която изпълняваме
• За свободния текст няма самостоятелно изтриване: пишете ни и го премахваме

Контакти и кореспонденция (управление на връзката с клиенти):

• Обхваща търговските и партньорските контакти и кореспонденцията с тях (запитвания за сътрудничество, представяне на услугата, обратна връзка за продукта) извън заявките за поддръжка, за които важи отделният срок по-горе
• Докато лицето има активен профил в платформата: съхраняваме контакта без допълнителен срок
• Ако сме водили реален разговор, но няма профил: до 5 години от последния контакт
• Ако не е имало нито един отговор от лицето: до 24 месеца от последния контакт
• Заличаването е ръчно, при периодичен преглед по горните критерии, а не автоматично на точната дата
• При възражение или искане за заличаване премахваме данните незабавно, без да изчакваме прегледа

За това съгласие:

• Съхраняваме само имейла ви и записа на съгласието (версия на текста, език, момент, източник), докато не го оттеглите или не поискате заличаване
• Можете да оттеглите съгласието по всяко време от линка във всяко писмо — също толкова лесно, колкото сте го дали
• Не предаваме тези данни на трети страни и не ги ползваме извън описаните цели
• Имате всички права на субект на данни, изброени по-долу

Упражняване на правата:

• Изпратете искане на: hello@motomanager.bg
• Посочете какво право искате да упражните и достатъчно информация, за да ви идентифицираме в нашите системи
• Може да поискаме допълнителна информация, ако имаме основателни съмнения за идентичността на заявителя

Права по GDPR:

• Право на достъп (чл. 15): да получите копие от обработваните данни и информация за обработката
• Право на поправка (чл. 16): да поискате корекция на неточни или непълни данни
• Право на изтриване (чл. 17, „право да бъдеш забравен"): да поискате изтриване, когато данните повече не са необходими, оттеглите съгласие или се възразите срещу обработката. Забележка: някои записи (ремонтна история, счетоводни) могат да бъдат запазени на основание чл. 6(1)(в), законово задължение
• Право на ограничаване (чл. 18): да ограничите обработката при оспорване на точността или законосъобразността
• Право на преносимост (чл. 20): да получите данните в структуриран, широко използван, машинно-четим формат и да ги прехвърлите към друг администратор
• Право на възражение (чл. 21): да възразите срещу обработка, основана на легитимен интерес
• Право да не бъдете обект на решение, основано единствено на автоматизирано обработване (чл. 22): единственото такова решение, което вземаме, и как да поискате човек да го преразгледа, са описани в раздел „Автоматизирано вземане на решения“ по-долу
• Право да оттеглите съгласие (чл. 7(3)): ако обработка се основава на съгласие, може да го оттеглите по всяко време, без това да засяга законосъобразността на предишната обработка

Право на жалба до надзорен орган (чл. 77):

• Имате право да подадете жалба до надзорен орган, ако смятате, че обработката нарушава GDPR
• Компетентен орган за България: Комисия за защита на личните данни (КЗЛД)
• Адрес: гр. София 1592, бул. „Проф. Цветан Лазаров“ №2
• Телефон: +359 2 915 3 518
• Имейл: kzld@cpdp.bg
• Уебсайт: https://www.cpdp.bg/

• Криптиране на данните при пренос (TLS 1.2+) и при съхранение (at-rest encryption при нашите доставчици на инфраструктура)
• Многофакторно удостоверяване за административни достъпи
• Принцип на минимални привилегии (role-based access control) в CRM workspace
• Сегрегация на данните по доставчик (tenant isolation)
• Проследяване на грешки и мониторинг на производителност (Sentry в ЕС регион)
• Политика за редовни обновявания на зависимостите и сигурностни patch-ове
• Договорни DPA-та с всички подобработващи и one-step-removed задължения по чл. 28
• Редовни прегледи на логовете за достъп и подозрителна активност
• Защита от ботове чрез Cloudflare Turnstile при вход и при онлайн записване

• Забележка: нито една система в интернет не е 100% защитена. При инцидент със сигурността, който вероятно води до висок риск за правата и свободите, ще ви уведомим без необосновано забавяне съгласно чл. 34 GDPR.